计算机信息管理专业毕业论文范文免费预览.doc

《计算机信息管理专业毕业论文范文免费预览.doc》由会员分享，可在线阅读，更多相关《计算机信息管理专业毕业论文范文免费预览.doc（32页珍藏版）》请在三一办公上搜索。

1、编号：_河南广播电视大学商丘学院毕业论文（设计）题目：网络伦理问题与对策研究 院 别 ：信息与电子工程学院 专 业 ：计算机信息管理 姓 名 ：李 玲 侠 成 绩 ： 指导教师 ：董 君 2014年4月目 录第一章 引 言11.1 概论11.2 网络伦理道德问题的形成根源21.4 网络安全技术的研究目的意义和背景4第二章 网络安全初步分析52.1 网络面临的安全威胁52.2 网络安全常见问题62.3 网络安全的必要82.4 网络的安全管理82.4.1 安全管理原则82.4.2 安全管理的实现92.5 采用先进的技术和产品92.6 常用的网络攻击及防范对策122.6.1 特洛伊木马122.6.2

2、 邮件炸弹132.6.3 过载攻击132.6.4 淹没攻击14第三章 网络拓扑结构的安全设计143.1网络拓扑结构分析143.2 网络攻击浅析16第四章 防火墙技术174.1防火墙的定义和由来174.2 防火墙的选择184.3 防密技术204.3.1 对称加密技术204.3.2 非对称加密/公开密钥加密204.3.3 RSA算法204.4注册与认证管理21第五章 解决网络伦理道德问题的有效途径225.1 在技术方面225.1.1设置网络警察225.1.2软件自身的安全225.1.3编制破解恶意程序的软件225.2 在法律方面235.3在教育方面235.4在网络管理方面245.5在自律方面24结

3、 论25参考文献26摘 要网络时代的到来，创造了一个新的便捷生活方式，人们在信息化、数字化的世界中体验自我，沟通世界。但不可避免的随着网络的发展，在提供信息资源共享、信息便捷的同时，也带来了网络伦理或网络的问题。因此，我们迫切需要建立良性的网络伦理道德规范，网络伦理的构建离不开伦理道德的引导。 网络时代的到来，不仅使网络成为生产、社会和社会服务的主要手段、广泛的运用在、娱乐等社会活动中，并逐步成为日常生活中重要的沟通方式，也使得人们的生活方式和思维方式发生了变革。网络为人类创造了一个虚拟的空间和新的生存方式，使人类可以在信息化、数字化的世界中自由的交流信息，沟通世界。网络主要特征是信息的传递快

4、捷、获取方便、其内容丰富、交往全球性，并因此为人们广泛运用。网络时代改变了社会各阶层群体的活动空间和生存生活方式，也改变了建立在生活和生存方式基础上的伦理道德观念. 网络在为人类生活提供信息资源共享、便捷的同时，也使当今现实的价值观念和道德观念受到了新挑战。因此，如何适应网络虚拟社会的需要，建立与之相适应的道德准则，就成为网络时代给我们提出的新课题。网络伦理道德，是以现实社会道德规范为基础，是对社会道德规范的延伸与拓展，是人们在进行网络活动时要遵循必要的道德规范。它是针对网上行为的特殊性，针对网络虚拟空间生活自身的特点的基础上建立起来的一种新的伦理道德规范，并且借鉴传统现实社会道德成果与经验，

5、建立起适应网络伦理关系要求的新的伦理观。【关键词：】网络伦理挑战伦理原则伦理建设 第一章 引 言1.1 概论21世纪全世界的计算机都将通过Internet联到一起，信息安全的内涵也就发生了根本的变化。它不仅从一般性的防卫变成了一种非常普通的防范，而且还从一种专门的领域变成了无处不在。当人类步入21世纪这一信息社会、网络社会的时候，我国将建立起一套完整的网络安全体系，特别是从政策上和法律上建立起有中国自己特色的网络安全体系。 一个国家的信息安全体系实际上包括国家的法规和政策，以及技术与市场的发展平台。我国在构建信息防卫系统时，应着力发展自己独特的安全产品，我国要想真正解决网络安全问题，最终的办法

6、就是通过发展民族的安全产业，带动我国网络安全技术的整体提高。网络安全产品有以下几大特点：第一，网络安全来源于安全策略与技术的多样化，如果采用一种统一的技术和策略也就不安全了；第二，网络的安全机制与技术要不断地变化；第三，随着网络在社会各个方面的延伸，进入网络的手段也越来越多，因此，网络安全技术是一个十分复杂的系统工程。为此建立有中国特色的网络安全体系，需要国家政策和法规的支持及集团联合研究开发。安全与反安全就像矛盾的两个方面，总是不断地向上攀升，所以安全产业将来也是一个随着新技术发展而不断发展的产业。 信息安全是国家发展所面临的一个重要问题。对于这个问题，我们还没有从系统的规划上去考虑它，从技

7、术上、产业上、政策上来发展它。政府不仅应该看见信息安全的发展是我国高科技产业的一部分，而且应该看到，发展安全产业的政策是信息安全保障系统的一个重要组成部分，甚至应该看到它对我国未来电子化、信息化的发展将起到非常重要的作用。 1.2 网络伦理道德问题的形成根源网络技术在给人类带来便利的同时，也给人们带来了很多的伦理伤害。但我们不能因此而逃避，不能因网络伦理道德问题的出现而远离和拒绝网络文化，而应该积极探究其产生的根源，以及有效的解决办法。网络伦理道德问题的形成根源主要有以下几方面：1网络自身特点弱化了传统伦理道德的约束力。互联网络上无中心、无限制、无最终的管理者，人们在网络空间中较之现实空间思想

8、和行为享有更大的自由：自由地进出网络；自由地选择信息；自由地发布信息。于是道德的无政府主义在这里就找到了市场，此外，网络世界的虚拟性质也造成了传统伦理约束力的弱化。 2网络空间的道德冲突容易使网民陷入道德相对主义。在互联网络这个全球信息高速公路上，各个国家、各个民族、各个地区的交往频繁，在政治、经济、文化、环境、价值观念和道德意识上发生了相互的交流、碰撞，由于地域性、民族性及意识形态的差异和对立，对同一伦理道德行为会有各种不同的甚至是完全相反的评判和选择标准。3. 网络法律和道德建设的相对滞后使网络伦理道德问题的出现有了可乘之机。网络对于我国来说是一个新兴的东西，对于世界来说，也是时间不长。迄

9、今为止，因特网上尚无全球统一的网络规范，有的只是一些地区性、行业性法规。在我国网络管理方面的法律，伦理道德，社会制约等方面法规的研究都存在滞后现象，这就使网民在网络空间上陷入到无法可依、无规范可循的茫然不知所措的状态。另一方面，现实社会中，转型时期所存在的一系列伦理道德的滑坡现象，甚至党政干部中的腐败堕落现象，使网路伦理道德问题的存在有了现实的根据。 4网民自我宣泄和自我表现的心理要求促使了网络伦理道德问题的形成。现代社会是一个生活和工作节奏快速紧张的社会，现实社会的竞争和压力，使人们产生强烈的压抑感。长期处于这样一种紧张状态和压抑状态下的人们，需要寻找一个宣泄自我、释放自我的机会和空间，而网

10、络空间正满足了他们的需求。 1.3 网络伦理道德问题的表现形式网络伦理道德是人们通过电子信息网络进行社会交往时而表现出来的道德关系。它主要探讨人与网络之间的关系，以及在网络社会(虚拟社会)中人与人之间的关系。电子信息网络实现的是人类信息交流方式的全球化和全面化，由于信息交流本身对人类存在的本质意义和网络对社会生活各方面的重要和影响，使得它成为从具有技术创新意义扩展到具有全面社会意义的新事物。信息的全球化既给人们带来了很大的便利性，同时也给社会带来了许多的伦理道德问题。其具体表现在以下几个方面1发布或传播虚假信息，这既包括虚假承诺，也包括在网站上的以讹传讹。 2剽窃他人的劳动成果，这包括营销企业

11、在网站或电子刊物上未经允许便采用他人制作的网页背景图案，图片，外观设计，程序代码，转载其他媒体(包括书籍)上的信息资料等。 3违背他人意愿强行发布商业信息。这类行为最典型的事例是发布垃圾邮件(sPAM)，主要包括不请自来的商业邮件(UCE)和不请自来的群发邮件(UBE)滋扰邮件接收者。 4不分对象地发布或传播受限制的信息。涉及暴利、色情、迷信和违反通常道德法则的信息，一旦被缺乏鉴别能力的未成年人阅读，会对他们的身心造成损害，也要避免未成年人涉足富有赌博性质的网络游戏。 5为了商业目的无节制地占用免费或廉价的网络资源。互联网上有许多免费资源供公众利用，例如共享软件交流区，BBS讨论区，新闻组以及

12、免费登录的搜索引擎等，但大部分营销企业却滥用这些免费资源。 6滥用跟踪和信息记录技术。现在网站广泛采用的客户跟踪和信息记录技术(如Cookies)使访问者的隐私受到了威胁。 7出卖、转让或泄漏网民个人资料，这些资料可能包括网民的通讯地址、电子信箱地址、电话号码等私人信息。 8单方面随意或频繁变更承诺过的交易条件，利用用户的转移成本盘剥用户。例如，将原本免费提供给用户的电子信箱更改为收费信箱，更改信箱容量的大小，改变交货时间或者忽然让用户承担货物的运输费用等。 9通过恶意编码违背他人意愿在他人的计算机上安装程序或篡改他人计算机上的设置，这包括有意或无意地向网民传播计算机病毒，也包括强行更改用户浏

13、览器的起始页面浏览器图标栏上公司信息。 10侵犯知识产权。这主要包括著作权和专利权。主要表现为3种形式：(1)网络主体对网络外社会中知识产权的侵犯；(2)网络主体对网络主体知识产权的侵犯；(3)社会对网络主体知识产权的侵犯。 11网上恋情、网上交友在年轻网民中十分流行和时髦。可是在其网络交往中搀杂了很多欺骗和隐瞒事实的行为，在其心理上造成了一定程度的伤害，甚至也给他们的学习和家庭造成了很大的负面影响。 12利用网络的虚拟性和网络主体的难以确定性进行商业犯罪、商业欺诈，给许多网民带来了财产的损失和精神上的伤害。例如，有人在网络上利用计算机技术盗用他人的银行卡信息，盗取他人财物，进行网络犯罪。1.

14、4 网络安全技术的研究目的意义和背景目前计算机网络面临着很大的威胁，其构成的因素是多方面的。这种威胁将不断给社会带来了巨大的损失。网络安全已被信息社会的各个领域所重视。随着计算机网络的不断发展，全球信息化已成为人类发展的大趋势；给政府机构、企事业单位带来了革命性的改革。但由于计算机网络具有联结形式多样性、终端分布不均匀性和网络的开放性、互连性等特征，致使网络易受黑客、病毒、恶意软件和其他不轨行为的攻击，所以网上信息的安全和保密是一个至关重要的问题。对于军用的自动化指挥网络、C3I系统、银行和政府等传输敏感数据的计算机网络系统而言，其网上信息的安全和保密尤为重要。因此，上述的网络必须有足够强的安

15、全措施，否则该网络将是个无用、甚至会危及国家安全的网络。无论是在局域网还是在广域网中，都存在着自然和人为等诸多因素的潜在威胁和网络的脆弱性。故此，网络的安全措施应是能全方位地针对各种不同的威胁和网络的脆弱性，这样才能确保网络信息的保密性、完整性和可用性。为了确保信息的安全与畅通，研究计算机网络的安全以及防范措施已迫在眉睫。本文就进行初步探讨计算机网络安全的管理及其技术措施。认真分析网络面临的威胁，我认为计算机网络系统的安全防范工作是一个极为复杂的系统工程，是一个安全管理和技术防范相结合的工程。在目前法律法规尚不完善的情况下，首先是各计算机网络应用部门领导的重视，加强工作人员的责任心和防范意识，

16、自觉执行各项安全制度，在此基础上，再采用先进的技术和产品，构造全方位的防御机制，使系统在理想的状态下运行。第二章 网络安全初步分析2.1 网络面临的安全威胁1. 计算机网络上的通信面临的威胁主要包括：1) 截获，攻击者从网络上窃听信息；2) 中断, 攻击者有意中断网络上的通信；3) 篡改，攻击者有意更改网络上的通信；4) 伪造，攻击者使假的信息在网络上传输。上述的四种威胁可以分为两类：即被动攻击和主动攻击。其中截获信息被称为被动攻击，攻击者只是被动地观察和分析信息，而不干扰信息流，一般用于对网络上传输的信息内容进行了解。中断、篡改和伪造信息被称为主动，主动攻击对信息进行各种处理，如有选择地更改

17、、删除或伪造等。被动攻击是不容易被检测出来的，一般可以采取加密的方法，使得攻击伏特计能识别网络中所传输的信息。对于主动攻击除了进行信息加密以外，还应该采取鉴别等措施。攻击者主要是指黑客，除此之外还包括计算机病毒、蠕虫、特洛伊木马及逻辑炸弹等。2. 网络不安全的原因是多方面的，主要包括：(1) 来自外部的不安全因素，即网络上存在的攻击。在网络上，存在着很多的敏感信息，有许多信息都是一些有关国家政府、军事、科学研究、经济以及金融方面的信息，有些别有用心的人企图通过网络攻击的手段截获信息。(2) 来自网络系统本身的，如网络中存在着硬盘、软件、通信、操作系统或其他方面的缺陷与漏洞，给网络攻击者以可乘之

18、机。这是黑客能够实施攻击的根本，也是一些网络爱好者利用网络存在的漏洞，编制攻击程序的练习场所。(3) 网络应用安全管理方面的原因，网络管理者缺乏网络安全的警惕性，忽视网络安全，或对网络安全技术缺乏了解，没有制定切实可行的网络策略和措施。(4) 网络安全协议的原因。在互联网上使用的协议是TCP/IP，其IPV版在设计之初没有考虑网络安全问题，从协议的根本上缺乏安全的机制，这是互联网存在的安全威胁的主要原因。2.2 网络安全常见问题1. 防止恶意软件目标：保护软件和信息的完整性。(1) 应提醒用户警觉未授权软件或恶意软件的危险；(2) 并且管理员应适当地引入特殊的控制手段检测或防范这些软件的侵袭；

19、(3) 安装并定期更新抗病毒的检测和修复软件；(4) 定期检查支持关键业务进程的系统的软件和数据内容。2. 用户口令管理（针对管理员）目的：防止用户口令泄露。方法：(1) 要求用户在使用时更改初始口令；(2) 用户忘记口令时，必须在对该用户进行适当的身份识别后才能向其提供临时口令；(3) 应避免使用明文电子邮件传送口令；(4) 应该根据情况考虑使用双因素认证。第一个要素（所知道的内容）：需要使用使用者记忆的身份认证内容，例如密码和身份号码等。第二个要素（所拥有的物品）：使用者拥有拥有的特殊认证加强机制，例如动态密码卡，IC卡，磁卡等。第三个要素（所具备的特征）：使用者本身拥有的唯一牲，例如指纹

20、、瞳孔、声音等。单独来看，这三个要素中的任何一个都有问题。“所拥有的物品”可以被盗走；“所知道的内容”可以被猜出、被分享，复杂的内容可能会忘记；“所具备的特征”最为强大，但是代价昂贵且拥有者本身易受攻击，一般用在顶级安全需求中。把前两种要素结合起来的身份认证的方法就是“双因素认证”。双因素认证和利用自动机提款相似：使用者必须利用提款卡（认证设备），再输入个人识别号码（已知信息），才能提取其帐户的款项。3. 用户口令管理（针对用户）(1) 应避免在纸上记录口令；(2) 只要有迹象表明系统或口令可能遭到破坏时，应立即更改口令；(3) 最少要有六个字符；(4) 口令必须便于记忆；(5) 不应该使用别

21、人通过个人输相关信息；(6) 不要连续使用同一字符，不要全部使用数字，也不要全部使用字母；(7) 定期更改口令；(8) 首次登录时应更改临时口令；(9) 不共享个人用户口令。2.3 网络安全的必要随着计算机技术的不断发展，计算机网络已经成为信息时代的重要特征，人们称它为信息高速公路。网络是计算机技术和通信技术的产物，是应社会对信息共享和信息传递的要求发展起来的，各国都在建设自己的信息高速公路。我国近年来计算机网络发展的速度也很快，在国防、电信、银行、广播等方面都有广泛的应用。我相信在不长的时间里，计算机网络一定会得到极大的发展，那时将全面进入信息时代。正因为网络应用的如此广泛，又在生活中扮演很

22、重要的角色，所以其安全性是不容忽视的。2.4 网络的安全管理面对网络安全的脆弱性，除了在网络设计上增加安全服务功能，完善系统的安全保密设施外，还必须花大力气加强网络的安全管理，因为诸多的不安全因素恰恰反映在组织管理和人员录用等方面，而这又是计算机网络安全所必须考虑的基本问题。2.4.1 安全管理原则网络信息系统的安全管理主要基3 个原则： 多人负责原则每一项与安全有关的活动，都必须有两人或多人在场。这些人应是系统主管领导指派的，他们忠诚可靠，能胜任此项工作；他们应该签署工作情况记录以证明安全工作以得到保障。与安全有关的活动有：访问控制使用证件的发放与回收；信息处理系统使用的媒介发放与回收；处理

23、保密信息；硬件和软件的维护；系统软件的设计、实现和修改；重要程序和数据的删除和销毁等。 任期有限原则一般来讲，任何人最好不要长期担任与安全有关的职务，以免使他认为这个职务是专有的或永久性的。为遵循任期有限原则，工作人员应不定期地循环任职，强制实行休假制度，并规定对工作人员进行轮流培训，以使任期有限制度切实可行。 职责分离原则除非经系统主管领导批准，在信息处理系统工作的人员不要打听、了解或参与职责以外的任何与安全有关的事情。出与对安全的考虑，下面每组内的两项信息处理工作应当分开：计算机操作与计算机编程；机密资料的接收与传送；安全管理和系统管理；应用程序和系统程序的编制；访问证件的管理与其他工作；

24、计算机操作与信息处理系统使用媒介的保管等。2.4.2 安全管理的实现信息系统的安全管理部门应根据管理原则和该系统处理数据的保密性，制订相应的管理制度或采用相应的规范。具体工作是： 根据工作的重要程度，确定该系统的安全等级。 根据确定的安全等级，确定安全管理范围。 制订相应的机房出入管理制度，对于安全等级要求较高的系统，要实行分区控制，限制工作人员出入与己无关的区域。出入管理可采用证件识别或安装自动识别系统，采用磁卡、身份卡等手段，对人员进行识别、登记管理。2.5 采用先进的技术和产品要保证计算机网络系统的安全性，还要采用一些先进的技术和产品。目前主要采用的相关技术和产品有以下几种。1. 防火墙

25、技术为保证网络安全，防止外部网对内部网的非法入侵，在被保护的网络和外部公共网络之间设置一道屏障这就称为防火墙。它是一个或一组系统，该系统可以设定哪些内部服务可已被外界访问，外界的哪些人可以访问内部的哪些服务，以及哪些外部服务可以被内部人员访问。它可监测、限制、更改跨越防火墙的数据流，确认其来源及去处，检查数据的格式及内容，并依照用户的规则传送或阻止数据。其主要有：应用层网关、数据包过滤、代理服务器等几大类型。一个防火墙策略要符合四个目标，而每个目标通常都不是通过一个单独的设备或软件来实现的。大多数情况下的防火墙的组件放在一起使用以满足公司安全目的的需要。防火墙要能确保满足以下三个目标实现一个公

26、司的安全策略。例如，也许你的安全策略只需对MAIL服务器的SMTP流量作些限制，那么你要直接在防火墙强制这些策略。(1)创建一个阻塞点防火墙在一个公司私有网络和公网间建立一个检查点并要求所有的流量都要通过这个检查点。一旦这些检查点清楚地建立，防火墙设备就可以监视，过滤各检查所 进来和出去的流量。网络安全产业称这些检查点为阻塞点。通过强制所有进出流量都通过这些检查点，网络管理员可以集中在较少的地方来实现安全目的。如果没有这样一个供监视和控制信息的点，系统或安全管理员则要在大量的地方来进行监测。检查点的另一个名字叫做网络边界。(2) 记录INTERNET 活动防火墙还能够强制日志记录，并且提供警报

27、功能。通过在防火墙上实现日志服务，安全管理员可以监视所有从外部网或互联网的访问。好的日志策略是实现适当网络安全的有效工具之一。防火墙对于管理员进行日志存档提供了更多的信息。(3)限制网络暴露防火墙在你的网络周围创建了一个保护的边界。并且对于公网隐藏了你内部系统的一些信息以增加保密性。当远程节点侦测到你的网络时，他们仅仅能看到防火墙。远程设备将不会知道你内部网络的布局以及都有些什么。防火墙提高认证功能和对网络加密来限制网络信息的暴露。通过对所能进来的流量时行源检查，以限制从外部发动的攻击。2. 数据加密技术与防火墙配合使用的安全技术还有数据加密技术，是为提高信息系统及数据的安全性和保密性，防止秘

28、密数据被外部破析所采用的主要技术手段之一。随着信息技术的发展，网络安全与信息保密日益引起人们的关注。它是一门古老而深奥的学科，对一般人来说是非常陌生的。长期以来，只在很小的范围内使用，如军事、外交、情报等部门。计算机密码学是研究计算机信息加密、解密及其变换的科学，是数学和计算机的交叉学科，也是一门新兴的学科。随着计算机网络和计算机通讯技术的发展，计算机密码学得到前所未有的重视并迅速普及和发展起来。在国外，它已成为计算机安全主要的研究方向。 密码学的历史比较悠久，在四千年前，古埃及人就开始使用密码来保密传递消息。目前各国除了从法律上、管理上加强数据的安全保护外，从技术上分别在软件和硬件两方面采取

29、措施，推动着数据加密技术和物理防范技术的不断发展。按作用不同, 数据加密技术主要分为数据传输、数据存储、数据完整性的鉴别以及密钥管理技术四种。3. 认证技术认证技术是防止主动攻击的重要手段，它对于开放环境中的各种信息的安全有重要作用。认证是指验证一个最终用户或设备的身份过程，即认证建立信息的发送者或接收者的身份。认证的主要目的有两个：第一，验证信息的发送者是真正的，而不是冒充的，这称为信号源识别；第二，验证信息的完整性，保证信息在传送过程中未被窜改或延迟等。目前使用的认证技术主要有：消息认证、身份认证、数字签名。4. 计算机病毒的防范首先要加强工作人员防病毒的意识，其次是安装好的杀毒软件。合格

30、的防病毒软件应该具备以下条件：、较强的查毒、杀毒能力。在当前全球计算机网络上流行的计算机病毒有万多种，在各种操作系统中包括Windows、 UNIX和Netware系统都有大量能够造成危害的计算机病毒，这就要求安装的防病毒软件能够查杀多种系统环境下的病毒，具有查毒、杀毒范围广、能力强的特点。、完善的升级服务。与其它软件相比，防病毒软件更需要不断地更新升级，以查杀层出不穷的计算机病毒。2.6 常用的网络攻击及防范对策2.6.1 特洛伊木马特洛伊木马是夹带在执行正常功能的程序中的一段额外操作代码。因为在特洛伊木马中存在这些用户不知道的额外操作代码，因此含有特洛伊木马的程序在执行时，表面上是执行正常

31、的程序，而实际上是在执行用户不希望的程序。特洛伊木马程序包括两个部分，即实现攻击者目的的指令和在网络中传播的指令。特洛伊木马具有很强的生命力，在网络中当人们执行一个含有特洛伊木马的程序时，它能把自己插入一些未被感染的程序中，从而使它们受到感染。此类攻击对计算机的危害极大，通过特洛伊木马，网络攻击者可以读写未经授权的文件，甚至可以获得对被攻击的计算机的控制权。 防止在正常程序中隐藏特洛伊木马的主要是人们在生成文件时，对每一个文件进行数字签名，而在运行文件时通过对数字签名的检查来判断文件是否被修改，从而确定文件中是否含有特洛伊木马。避免下载可疑程序并拒绝执行，运用网络扫描软件定期监视内部主机上的监

32、听TCP服务。2.6.2 邮件炸弹邮件炸弹是最古老的匿名攻击之一，通过设置一台机器不断的大量的向同一地址发送电子邮件，攻击者能够耗尽接受者网络的带宽，占据邮箱的空间，使用户的存储空间消耗殆尽，从而阻止用户对正常邮件的接收，防碍计算机的正常工作。此种攻击经常出现在网络黑客通过计算机网络对某一目标的报复活动中。防止邮件炸弹的方法主要有通过配置路由器，有选择地接收电子邮件，对邮件地址进行配置，自动删除来自同一主机的过量或重复的消息，也可使自己的SMTP连接只能达成指定的服务器，从而免受外界邮件的侵袭。2.6.3 过载攻击载攻击是攻击者通过服务器长时间发出大量无用的请求，使被攻击的服务器一直处于繁忙的

33、状态，从而无法满足其他用户的请求。过载攻击中被攻击者用得最多的一种方法是进程攻击，它是通过大量地进行人为地增大CPU的工作量，耗费CPU的工作时间，使其它的用户一直处于等待状态。防止过载攻击的方法有：限制单个用户所拥有的最大进程数；杀死一些耗时的进程。然而，不幸的是这两种方法都存在一定的负面效应。通过对单个用户所拥有的最大进程数的限制和耗时进程的删除，会使用户某些正常的请求得不到系统的响应，从而出现类似拒绝服务的现象。通常，管理员可以使用网络监视工具来发现这种攻击，通过主机列表和网络地址列表来的所在，也可以登录防火墙或路由器来发现攻击究竟是来自于网络外部还是网络内部。另外，还可以让系统自动检查

34、是否过载或者重新启动系统。2.6.4 淹没攻击常情况下，TCP连接建立要经历3次握手的过程，即客户机向主机发送SYN请求信号；目标主机收到请求信号后向客户机发送SYN/ACK消息；客户机收到SYN/ACK消息后再向主机发送RST信号并断开连接。TCP的这三次握手过程为人们提供了攻击网络的机会。攻击者可以使用一个不存在或当时没有被使用的主机的IP地址，向被攻击主机发出SYN请求信号，当被攻击主机收到SYN请求信号后，它向这台不存在IP地址的伪装主机发出SYN/消息。由于此时主机的IP不存在或当时没有被使用所以无法向主机发送RST，因此，造成被攻击的主机一直处于等待状态，直至超时。如果攻击者不断地

35、向被攻击的主机发送SYN请求，被攻击主机就会一直处于等待状态，从而无法响应其他用户的请求。对付淹没攻击的最好方法是实时监控系统处于SYN-RECEIVED状态的连接数，当连接数超过某一给定的数值时，实时关闭这些连接。第三章 网络拓扑结构的安全设计3.1网络拓扑结构分析网络的拓扑结构首先应因地制宜，根据组网单位的实际情况按照单位的各部门安全性要求划分，尽量使同一安全级别的上网计算机处于同一网段的安全控制域中。局域网中的拓扑结构主要有总线型，星型，环形等，而目前大多数都采用载波侦听多路访问/冲突检测（Carrier Sense Multiple Access with Collision Dete

36、ction ,CSMA/CD）也就是发展到现在的IEEE802.3规范,利用这一方法建成的网络,我们称之为以太网,在以太网的通信方式中,每一个工作站都可以读取电缆上传输的所有数据,将以太网卡(支持IEEE802.3规范的网卡)设置为混杂模式,网卡便会将电缆上传输的所有的数据读入缓冲区,以供系统和程序调用.但是入侵者还是可能通过割开网线,非法接入等手段来侦听网络,截获数据,根据线路中的数据流量找到网络的信息中心,因此布线要杜绝经过不可靠的区域,以防止非法接入,在各网段的控制器上设置网段内所有主机的介质访问控制器(MAC)地址,该地址为6个字节,是用来区分网络设备的唯一标志.此外,对于每一个接入网

37、络中的计算机都必须先登记后连线接入,网段监控程序一旦发现有陌生的MAC地址便发出警告,网管人员立即查找该设备,因此在局域网中应该采用以下三种组网方式来加强安全防范.网络分段 网络分段通常被认为是控制网络广播风暴的一种基本手段,实际上也是保证网络安全的一项重要措施.其目的是将非法用户与敏感的网络资源相互隔离,从而防上可能的非法侦听.以交换式集线器代替共享式集线器 对局域网的中心计算机进行分段后,以太网的侦听的危险仍然存在.这是因为网络最终用户的接入往往是通过分支集线器而不是中心交换机,而使用最广泛的分支集线器通常是共享式集线器.这样,当用户与主机进行数据通信时,两台机器之间的数据包(称为单播包N

38、icest Packet)还是会被同一台集线器上的其他用户所侦听.因此应该以交换式集线器代替共享式集线器,使单播包公在两个节点之间传送,从而防止非法侦听。VLAN(虚拟局域网)的划分 为了克服以太网的广播问题,除上述方法外,还可以运用VLAN技术,将以太网通信变为点到点通信,以防止大部分基于网络侦听的入侵。基于以上拓扑结构的连接方式,用电缆和集线器连接而成的网络始终是同一网段, 在网上传播的数据可以被所有的连接设备接收,为了防止网络的入侵嗅探,可以把网络分段,隔离网络通信合用桥接器,交换器,路由器,应用网关都可以实现各网段的通信隔离,同时将多个局域网进行互联,拓展网络形成广域网,还可将本地局域

39、网与因特网连接从而成为全球最大的广域网但对于网络拓扑结构的安全技术是加强对外界的攻击的防范和应策.3.2 网络攻击浅析攻击是指非授权行为。攻击的范围从简单的使服务器无法提供正常的服务到安全破坏、控制服务器。在网络上成功实施的攻击级别以来于拥护采取的安全措施。在此先分析眼下比较流行的攻击Dodos分布式拒绝服务攻击：Does是Denial of Service的简称，即拒绝服务，造成Does的攻击行为被称为Does攻击，其目的是使计算机或网络无法提供正常的服务。最常见的Does攻击有计算机网络带宽攻击和连通性攻击。带宽攻击指以极大的通信量冲击网络，使得所有可用网络资源都被消耗殆尽，最后导致合法的

40、用户请求就无法通过。连通性攻击指用大量的连接请求冲击计算机，使得所有可用的操作系统资源都被消耗殆尽，最终计算机无法再处理合法用户的请求。而分布式拒绝服务(DDoS:Distributed Denial of Service)攻击是借助于客户/服务器技术，将多个计算机联合起来作为攻击平台，对一个或多个目标发动DoS攻击，从而成倍地提高拒绝服务攻击的威力。通常，攻击者使用一个偷窃帐号将DDoS主控程序安装在一个计算机上，在一个设定的时间主控程序将与大量代理程序通讯，代理程序已经被安装在Internet上的许多计算机上。代理程序收到指令时就发动攻击。利用客户/服务器技术，主控程序能在几秒钟内激活成百

41、上千次代理程序的运行。而且现在没有有限的方法来避免这样的攻击因为此攻击基于TCP/IP协议的漏洞，要想避免除非不使用此协议，显然这是很难做到的那我们要如何放置呢？1) 确保所有服务器采用最新系统，并打上安全补丁。计算机紧急响应协调中心发现，几乎每个受到DDoS攻击的系统都没有及时打上补丁。 2) 确保管理员对所有主机进行检查，而不仅针对关键主机。这是为了确保管理员知道每个主机系统在 运行什么？谁在使用主机？哪些人可以访问主机？不然，即使黑客侵犯了系统，也很难查明。 3) 确保从服务器相应的目录或文件数据库中删除未使用的服务如FTP或NFS。Wu-Ftpd等守护程序存在一些已知的漏洞，黑客通过根

42、攻击就能获得访问特权系统的权限，并能访问其他系统甚至是受防火墙保护的系统。 4) 确保运行在Unix上的所有服务都有TCP封装程序，限制对主机的访问权限。 5) 禁止内部网通过Modem连接至PSTN系统。否则，黑客能通过电话线发现未受保护的主机，即刻就能访问极为机密的数据。 6) 禁止使用网络访问程序如Telnet、Ftp、Rsh、Rlogin和Rcp，以基于PKI的访问程序如SSH取代。SSH不会在网上以明文格式传送口令，而Telnet和Rlogin则正好相反，黑客能搜寻到这些口令，从而立即访问网络上的重要服务器。此外，在Unix上应该将.rhost和hosts.equiv文件删除，因为不

43、用猜口令，这些文件就会提供登录访问！ 7) 限制在防火墙外与网络文件共享。这会使黑客有机会截获系统文件，并以特洛伊木马替换它，文件传输功能无异将陷入瘫痪。 8) 确保手头有一张最新的网络拓扑图。这张图应该详细标明TCP/IP地址、主机、路由器及其他网络设备，还应该包括网络边界、非军事区（DMZ）及网络的内部保密部分。 9) 在防火墙上运行端口映射程序或端口扫描程序。大多数事件是由于防火墙配置不当造成的，使DoS/DDoS攻击成功率很高，所以定要认真检查特权端口和非特权端口。 10) 检查所有网络设备和主机/服务器系统的日志。只要日志出现漏洞或时间出现变更，几乎可以肯定：相关的主机安全受到了威胁

44、。第四章 防火墙技术4.1防火墙的定义和由来网络防火墙技术是一种用来加强网络之间访问控制，防止外部网络用户以非法手段通过外部网络进入内部网络，访问内部网络资源，保护内部网络操作环境的特殊网络互联设备。它对两个或多个网络之间传输的数据包如链接方式按照一定的安全策略来实施检查，以决定网络之间的通信是否被允许，并监视网络运行状态。目前的防火墙产品主要有堡垒主机、包过滤路由器、应用层网关(代理服务器)以及电路层网关、屏蔽主机防火墙、双宿主机等类型。虽然防火墙是目前保护网络免遭黑客袭击的有效手段，但也有明显不足：无法防范通过防火墙以外的其它途径的攻击，不能防止来自内部变节者和不经心的用户们带来的威胁，也

45、不能完全防止传送已感染病毒的软件或文件，以及无法防范数据驱动型的攻击。自从1986年美国Digital公司在Internet上安装了全球第一个商用防火墙系统，提出了防火墙概念后，防火墙技术得到了飞速的发展。国内外已有数十家公司推出了功能各不相同的防火墙产品系列。防火墙处于5层网络安全体系中的最底层,属于网络层安全技术范畴。在这一层上,企业对安全系统提出的问题是:所有的IP是否都能访问到企业的内部网络系统?如果答案是“是”,则说明企业内部网还没有在网络层采取相应的防范措施。作为内部网络与外部公共网络之间的第一道屏障,防火墙是最先受到人们重视的网络安全产品之一。虽然从理论上看,防火墙处于网络安全的

46、最底层,负责网络间的安全认证与传输,但随着网络安全技术的整体发展和网络应用的不断变化,现代防火墙技术已经逐步走向网络层之外的其他安全层次,不仅要完成传统防火墙的过滤任务,同时还能为各种网络应用提供相应的安全服务。另外还有多种防火墙产品正朝着数据安全与用户认证、防止病毒与黑客侵入等方向发展。4.2 防火墙的选择总拥有成本防火墙产品作为网络系统的安全屏障,其总拥有成本(TCO)不应该超过受保护网络系统可能遭受最大损失的成本。以一个非关键部门的网络系统为例,假如其系统中的所有信息及所支持应用的总价值为10万元,则该部门所配备防火墙的总成本也不应该超过10万元。当然,对于关键部门来说,其所造成的负面影

47、响和连带损失也应考虑在内。如果仅做粗略估算,非关键部门的防火墙购置成本不应该超过网络系统的建设总成本,关键部门则应另当别论选择防火墙的标准有很多,但最重要的是以下两条:。 (1) 防火墙本身是安全的 作为信息系统安全产品,防火墙本身也应该保证安全,不给外部侵入者以可乘之机。如果像马其诺防线一样,正面虽然牢不可破,但进攻者能够轻易地绕过防线进入系统内部,网络系统也就没有任何安全性可言了。 通常,防火墙的安全性问题来自两个方面:其一是防火墙本身的设计是否合理,这类问题一般用户根本无从入手,只有通过权威认证机构的全面测试才能确定。所以对用户来说,保守的方法是选择一个通过多家权威认证机构测试的产品。其二是使用不当。一般来说,防火墙的许多配置需要系统管理员手工修改,如果系统管理员对防火墙不十分熟悉,就有可能在配置过程中遗留大量的安全漏洞。(2) 可扩充性 在网络系统建设的初期,由于内部信息系统的规模较小,遭受攻击造成的损失也较小,因此没有必要购置过于复杂和昂贵的防火墙产品。但随着网络的扩容和网络应用的增加,网络的风险成本也会急剧上升,此时便需要增加具有更高安全性的防火墙产品。如果早期购置的防火墙没有可扩充性,或扩充成本极高,这便是对投资的浪费。好的产品应该留给用户足够的弹性空间,在安全水平要求不高的情况下,可以只选购基本系统,而随着要求